Windows域环境中Kerberos认证流程

只有我最优秀

已于 2024-06-02 11:07:49 修改

阅读量373

点赞数 9

文章标签： windows 安全

于 2024-04-19 19:15:09 首次发布

本文链接：https://blog.csdn.net/qq_25499417/article/details/137975025

版权

本文详细描述了Windows系统中Kerberos协议的客户端-认证服务器(AS)-TicketGrantingServer(TGS)之间的三次交互过程，涉及NTLM-hash加密和验证机制，确保了通信的安全性。

摘要由CSDN通过智能技术生成

总体来说分外三步：

Client与AS交互，验证身份，获取TGT
Client拿着TGT与TGS交互，获取票据ST
Client拿着ST与与Server交互，请求服务

细化来说分为三个阶段：

Client ==> AS
1. Client用自己的密码NTLM-hash对 timestamp、client-info、server-info 等数据进行加密，发送给AS；
2. AS向AD确认存在此Client后，会从AD取出此Client的NTLM-hash解密，同时生成一个随机密钥key1，利用此Client的NTLM-hash加密key1，生成响应的一部分；
3. AS使用特定账户krbtgt的NTLM-hash对 key1、timestamp、 client-info 进行的加密，生产TGT，成为响应的另一部分；
4. 将两部分合并返回给Client。
Client ==> TGS
1. Client收到响应后利用自己的密码NTLM-hash解密得到key1，但Client无法又解密TGT，所以防止了Client修改client-info伪造其他用户。Client利用key1对 timestamp、client-info、server-info 进行加密，将TGT一起发送给TGS；
2. TGS接收请求，利用账户krbtgt的NTLM-hash解密TGT，得到key1和timestamp、client-info，利用key1解密另一部分由Client加密的 timestamp、client-info 信息，将两部分解密出的数据进行对比，验证是否通过；
3. 通过后，TGS生成新的密钥key2，利用key1加密key2，再使用Server NTLM-hash加密数据(key2、timestamp、client-info)生成ST，合并后发送给Client。
Client ==> Server
1. Client收到响应，用key1解密得到key2，利用key2对 timestamp、client-info 进行加密，同时带上接收到的ST发送给Server；
2. Server收到后利用Server NTLM-hash解密数据，得到key2，再利用key2解密另一部分，得到数据，将两部分解密的数据进行对比，无误后建立通信。